409-AWS SAP AWS 「理論・実践・一問道場」AWS Secrets Manager

type

status

date

slug

summary

理論

1. AWS Lambdaとデータベースアクセスのセキュリティ

AWS Lambda関数がデータベース（例えば、Amazon RDS）にアクセスする場合、資格情報のセキュアな管理が重要です。資格情報（ユーザー名やパスワード）をアプリケーションコード内にハードコードすると、セキュリティリスクが高まります。

2. 資格情報の管理方法

AWSでの資格情報管理には、主に以下の2つの方法があります：

AWS Secrets Manager: 資格情報を安全に保存し、自動ローテーションが可能です。例えば、データベースのユーザー名やパスワードを定期的に更新する設定ができます。
AWS Systems Manager Parameter Store: 資格情報を安全に保存できますが、自動ローテーション機能は提供されていません。暗号化やアクセス制御は可能ですが、資格情報のローテーションは手動で管理する必要があります。

3. AWS Secrets Managerの利点

自動ローテーション: Secrets Managerは、指定した期間ごとに資格情報を自動で更新できます。これにより、セキュリティを高めるとともに、手動で資格情報を変更する手間を省けます。

簡単な統合: Lambda関数や他のAWSサービスと簡単に統合できます。Secrets ManagerのAPIを使って、Lambda関数内で資格情報を安全に取得できます。

環境ごとの管理: 異なる環境（QA、開発、本番）で異なる資格情報を管理することができ、環境ごとにアクセス制御を強化できます。

4. AWS KMSとS3での管理

AWS KMS: KMSは暗号化サービスで、データの暗号化や管理を行いますが、資格情報のローテーション機能は提供しません。資格情報の保護には適しているものの、自動ローテーション機能を提供するには他のサービス（例：Secrets Manager）と組み合わせる必要があります。

Amazon S3: 資格情報をS3に保存することも可能ですが、これも手動でのローテーションが必要であり、S3はストレージサービスであるため、資格情報管理には適していません。

5. ベストプラクティス

資格情報をハードコードしない: アプリケーションコード内に資格情報を直接記述することは避け、専用のセキュアなストレージサービス（Secrets Managerなど）を使用する。

自動ローテーションを活用する: 資格情報のローテーションを手動で行うと人的ミスが発生しやすいため、可能な限り自動化を図る。AWS Secrets Managerはこの自動ローテーション機能を提供します。

アクセス制御: IAM（Identity and Access Management）を使用して、Lambda関数がSecrets ManagerやS3バケットにアクセスする際の権限を最小限に設定する。

このように、AWSの資格情報管理を適切に行うことで、セキュリティを保ちながら、運用の手間を減らすことができます。

実践

略

一問道場

会社はAWS Lambda関数を展開し、それらの関数がAmazon RDS for PostgreSQLデータベースにアクセスします。会社は、Lambda関数をQA環境と本番環境の両方で起動する必要があります。アプリケーションコード内で資格情報を公開せず、パスワードを自動的にローテーションする必要があります。

どのソリューションがこの要件を満たしますか？

A. 両方の環境のデータベース資格情報をAWS Systems Manager Parameter Storeに保存します。AWS Key Management Service (AWS KMS)キーを使用して資格情報を暗号化します。Lambda関数のアプリケーションコード内で、AWS SDK for Python（Boto3）を使用してParameter Storeパラメーターから資格情報を取得します。Lambda関数にParameter Storeパラメーターへのアクセスを提供する役割を追加します。

B. 両方の環境のデータベース資格情報をAWS Secrets Managerに保存し、QA環境と本番環境のための異なるキーエントリを作成します。ローテーションを有効にします。Lambda関数に対してSecrets Managerキーを参照する環境変数を提供します。

C. 両方の環境のデータベース資格情報をAWS Key Management Service（AWS KMS）に保存します。ローテーションを有効にします。Lambda関数に対してAWS KMSに保存されている資格情報を参照する環境変数を提供します。

D. QA環境と本番環境のために別々のS3バケットを作成します。S3バケットに対してAWS KMSキー（SSE-KMS）によるサーバーサイド暗号化を有効にします。Lambda関数に対応する環境の資格情報を取得できるように、オブジェクト命名パターンを使用します。各Lambda関数の実行役割にAmazon S3へのアクセスを提供します。

解説

この問題は、AWS Lambda関数がデータベース（Amazon RDS for PostgreSQL）にアクセスする際に、資格情報の管理とローテーションの要件を満たす方法に関するものです。重要な要件は、資格情報がアプリケーションコード内に公開されず、自動的にローテーションされることです。選択肢を見ていきましょう。

A. AWS Systems Manager Parameter Storeを使用

利点:

AWS Systems Manager Parameter Storeに資格情報を保存することで、セキュアに管理できます。
AWS KMSを使って暗号化することで、データ保護が強化されます。
Lambda関数内でAWS SDK（Boto3）を使用して資格情報を取得する方法は一般的な手法です。

制限:

自動的なパスワードローテーションを設定することはできません。資格情報のローテーションを自動化する機能はありません。
セキュリティ的に資格情報の管理が不十分な場合があります。

B. AWS Secrets Managerを使用

利点:

Secrets Managerは、資格情報のローテーションを自動的に管理できるサービスです。これにより、定期的に資格情報が変更される場合でも、アプリケーションコードを変更することなく、常に最新の資格情報を使用できます。
異なるキーエントリを使って、QA環境と本番環境の資格情報を管理することができます。
Secrets Managerの参照を環境変数としてLambda関数に渡すことで、資格情報を安全に管理し、コード内に露出しません。

制限:

他の方法と比較して、費用がかかります（Secrets Managerには管理コストが伴います）。

C. AWS Key Management Service (AWS KMS)を使用

利点:

AWS KMSは強力な暗号化機能を提供しますが、直接的な資格情報のローテーション機能はありません。
資格情報をKMSで暗号化し、Lambda関数に参照させる方法はセキュアですが、ローテーションの自動化は提供されません。

制限:

資格情報の管理とローテーションには追加の自動化が必要です。AWS KMS単体ではローテーション機能は提供していません。

D. S3バケットとKMSを使用

利点:

S3バケットで資格情報を管理する方法もありますが、これは一般的ではなく、主にストレージ用途に適しています。
S3バケットを使うことで資格情報を安全に格納できますが、資格情報のローテーションやアクセス管理に関しては手動での管理が必要です。

制限:

ローテーションの自動化が提供されていないため、手動で資格情報を更新しなければならず、運用が複雑になります。

最適な選択肢

B. AWS Secrets Managerを使用が最適な選択肢です。

理由:

自動ローテーション機能があり、資格情報を定期的に変更してもLambda関数は常に最新の資格情報を利用できます。
環境変数としてSecrets Managerの参照をLambda関数に渡すことで、アプリケーションコード内に資格情報が露出しないため、セキュリティ的にも優れています。
異なる環境（QAと本番）で異なる資格情報を管理しやすく、セキュアで自動化された方法です。

したがって、AWS Secrets Managerを使用することが、要件に最も適していると言えます。